Seit 1. Oktober 2026 gilt das NISG 2026, das die NIS-2-Richtlinie in Österreich umsetzt. Die Meldepflichten für Cybervorfälle sind seit diesem Tag anwendbar. Wer zu spät oder gar nicht meldet, riskiert hohe Strafen, und die Geschäftsleitung muss nachweisen können, dass sie ihre Überwachungspflichten erfüllt hat.
Erhebliche Vorfälle sind dem zuständigen CSIRT zu melden, das an die Cybersicherheitsbehörde weiterleitet. Die Meldung läuft dreistufig:
| Stufe | Frist |
|---|---|
| Frühwarnung | unverzüglich, spätestens 24 Stunden nach Kenntnis |
| Meldung mit erster Bewertung | spätestens 72 Stunden |
| Abschlussbericht | spätestens einen Monat nach der 72-Stunden-Meldung |
Als erheblich gilt ein Vorfall, der schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann. Die Datenschutz-Meldepflichten nach DSGVO (72 Stunden) bestehen parallel weiter.
Zusätzlich ist die Registrierung als NIS2 betroffenes Unternehmen bis spätestens 31.12.2026 vorzunehmen.
Bei Verstößen gegen Kernpflichten wie Risikomanagement, Vorfallsmeldung und Schulungen gilt der jeweils höhere Betrag der folgenden Strafrahmen:
| Einrichtungstyp | Höchststrafe |
|---|---|
| Wesentliche Einrichtung | 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes |
| Wichtige Einrichtung | 7 Mio. EUR oder 1,4% des weltweiten Jahresumsatzes |
Für organisatorische Verstöße, etwa bei der Registrierung, drohen bis zu 50.000 EUR, im Wiederholungsfall bis zu 100.000 EUR. Dazu kommen Aufsichts- und Durchsetzungsmaßnahmen der Behörde.
Haftung der Geschäftsleitung
Die Leitungsorgane müssen Risikomanagementmaßnahmen sicherstellen und beaufsichtigen sowie Cybersicherheitsschulungen absolvieren. Eine Haftung für Schäden durch die Leitungsorgane besteht bei sorgfaltswidrigem Verhalten, das für den Schaden ursächlich war, nach allgemeinen Grundsätzen. Bei Meldepflichten bedeutet das konkret: Fehlt ein Meldeprozess, wird die 24-Stunden-Frist versäumt oder werden Vorfälle nicht dokumentiert, steht der Vorwurf mangelnder Überwachung im Raum.
Der Konnex zur D&O-Versicherung
Genau hier setzt die D&O-Versicherung an: Sie schützt Geschäftsleiter vor persönlichen Vermögensschäden, wenn Gesellschaft, Gesellschafter oder Dritte sie wegen vermeintlicher Pflichtverletzungen in Anspruch nehmen. Gegenüber der Gesellschaft ist hier vor allem der Vorwurf unzureichender Überwachung der Cyber-Compliance relevant. Ob NIS-2-bezogene Ansprüche und Abwehrkosten gedeckt sind, hängt jedoch vom Bedingungswerk ab. Die Versicherbarkeit von Geldstrafen ist gesondert zu prüfen, ebenso das Zusammenspiel mit der Cyberpolice.
INFINCO: Ihr Ansprechpartner
INFINCO ist Spezialist für Financial Lines, also D&O, Vermögensschadenhaftpflicht und Cyber. Wir prüfen Ihren D&O- und Cyberschutz auf NIS-2-Lücken, begleiten Sie bei Versicherer-Fragebögen und vermitteln Cyber-Lösungen mit Assistance (24/7-Hotline, Forensik, Juristen für Meldepflichten). Auch Maklerkollegen unterstützen wir als Partner. Rechtsberatung erbringen wir nicht.
Senden Sie uns die Unterlagen Ihres Kunden oder rufen Sie uns an, wir besprechen den Fall gerne vorab: j.kaltschmid@infinco.com · www.infinco.com
Hinweis: Dieser Beitrag dient der allgemeinen Information unserer Kooperationspartner und ersetzt keine Rechtsberatung im Einzelfall. Rechtsstand: Oktober 2026.
TEILEN SIE DEN ARTIKEL
Für Unternehmen, Stiftungen, Vereine, einzelne Personen & D&O mit Strafrechtschutz
Für Dienstleister & Gewerbe, Versicherungs-Vermitttler, Produktions-Unternehmen etc.
Strafrechtsschutz, Manager-Rechtsschutz, Steuerberater & Wirtschaftsprüfer
Finanzinstitutionen,
Kommerzielle Kunden
Finanzinstitute, Private Equity, Werbung & Medien etc.
Cyber, Vertrauensschaden und D&O sind seit dem NISG 2026 kein loses Nebeneinander mehr, sondern eine Haftungskette. Jede Lücke im ersten Glied wird zum Anspruch gegen die Geschäftsführung.
WEITERLESEN
PHP bildet die technische Grundlage zahlreicher Systeme im Web und ist nun von zwei schwerwiegenden Schwachstellen betroffen. Ein massives Problem oder ist die Aufregung übertrieben?
WEITERLESEN
MFA 2026: Warum „aktiviert“ nicht mehr genügt
WEITERLESEN
Nach oben scrollen
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von hCaptcha laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen